(57)【要約】【課題】本人／他人分布を正しく推定する生体認証を実現する。【解決手段】認証時は、生体情報入力センサ１００によって認証ユーザの生体情報を入力し、特徴量抽出部１１１によって入力した生体情報から特徴量を抽出し、照合部１１２によって認証ユーザの特徴量に対して、登録ユーザの登録テンプレートを用いて照合し、登録ユーザに対する照合スコアを求め、認証ユーザ判定部１１３によって照合スコアを認証閾値と比較することで、認証ユーザを判定する。認証閾値は、混合分布更新部１１４によって照合スコアを基に混合分布を推定することで、本人分布、他人分布を更新し、閾値更新部１１５によって本人分布と他人分布を基に、認証精度が要求値以下となるように更新する。【選択図】図１
2010108074.tif 000002
【特許請求の範囲】
【請求項１】
認証ユーザの生体情報を入力する生体情報入力センサと、前記生体情報入力センサから入力した前記生体情報から特徴量を抽出する特徴量抽出部、
前記認証ユーザの前記特徴量と予め登録してある登録ユーザの特徴量である登録テンプレートとを照合し、前記登録ユーザに対する照合スコアを求める照合部、
前記照合スコアに係る値を認証閾値と比較し、前記認証ユーザを判定する認証ユーザ判定部、
前記照合スコアを用いて、本人分布と他人分布との混合分布を推定し、前記推定結果に基づいて前記本人分布および前記他人分布を更新する混合分布更新部、および
前記更新した前記本人分布と前記他人分布とに基づいて、前記認証閾値を更新する閾値更新部を有する認証端末とを設けることを特徴とする生体認証システム。
【請求項２】
前記照合スコアに係る値は前記照合スコアであることを特徴とする請求項１記載の生体認証システム。
【請求項３】
前記閾値更新部は、前記更新された認証閾値が認証精度として要求される所定値を満足しない場合、警告を出力することを特徴とする請求項２記載の生体認証システム。
【請求項４】
前記混合分布更新部は、さらに前記推定結果に基づいて、本人確率および他人確率を更新し、前記更新した他人確率が予め設定した所定値を超えた場合、警告を出力することを特徴とする請求項２に記載の生体認証システム。
【請求項５】
前記認証端末は、さらに前記本人分布および前記他人分布を用いて、前記照合スコアを他の評価指標に変換する照合スコア変換部を有し、
前記認証ユーザ判定部は、前記照合スコアに係る値として前記変換した評価指標を用い、前記認証閾値として前記評価指標に対応する他の認証閾値を用いることを特徴とする請求項１記載の生体認証システム。
【請求項６】
前記閾値更新部は、前記更新された認証閾値が認証精度として要求される所定値を満足しない場合、警告を出力することを特徴とする請求項５記載の生体認証システム。
【請求項７】
前記混合分布更新部は、さらに前記推定結果に基づいて、本人確率および他人確率を更新し、前記更新した他人確率が予め設定した所定値を超えた場合、警告を出力することを特徴とする請求項５に記載の生体認証システム。
【請求項８】
前記混合分布更新部は、さらに前記推定結果に基づいて、本人確率および他人確率を更新し、
前記照合スコア変換部は、前記本人分布および前記他人分布に加えて、前記更新した本人確率および前記更新した他人確率を用いて、前記照合スコアを他の評価指標に変換することを特徴とする請求項５記載の生体認証システム。
【請求項９】
前記混合分布更新部は、前記更新した他人確率が予め設定した所定値を超えた場合、警告を出力することを特徴とする請求項８に記載の生体認証システム。
【請求項１０】
生体情報入力センサと接続する認証端末は、
前記生体情報入力センサから入力した認証ユーザの生体情報から特徴量を抽出し、
前記認証ユーザの前記特徴量と予め登録してある登録ユーザの特徴量である登録テンプレートとを照合し、前記登録ユーザに対する照合スコアを求め、
前記照合スコアに係る値を認証閾値と比較し、前記認証ユーザを判定し、
前記照合スコアを用いて、本人分布と他人分布との混合分布を推定し、前記推定結果に基づいて前記本人分布および前記他人分布を更新し、
前記更新した前記本人分布と前記他人分布とに基づいて、前記認証閾値を更新することを特徴とする生体認証方法。
【請求項１１】
前記照合スコアに係る値は前記照合スコアであることを特徴とする請求項１０記載の生体認証方法。
【請求項１２】
前記更新された認証閾値が認証精度として要求される所定値を満足しない場合、警告を出力することを特徴とする請求項１１記載の生体認証方法。
【請求項１３】
前記混合分布の推定結果に基づいて、本人確率および他人確率を更新し、前記更新した他人確率が予め設定した所定値を超えた場合、警告を出力することを特徴とする請求項１１に記載の生体認証方法。
【請求項１４】
前記認証端末は、さらに前記本人分布および前記他人分布を用いて、前記照合スコアを他の評価指標に変換し、
前記照合スコアに係る値として前記変換した評価指標を用い、前記認証閾値として前記評価指標に対応する他の認証閾値を用いることを特徴とする請求項１０記載の生体認証方法。
【請求項１５】
前記更新された認証閾値が認証精度として要求される所定値を満足しない場合、警告を出力することを特徴とする請求項１４記載の生体認証方法。
【請求項１６】
前記混合分布の推定結果に基づいて、本人確率および他人確率を更新し、前記更新した他人確率が予め設定した所定値を超えた場合、警告を出力することを特徴とする請求項１４に記載の生体認証方法。
【請求項１７】
前記推定結果に基づいて、本人確率および他人確率を更新し、
前記本人分布および前記他人分布に加えて、前記更新した本人確率および前記更新した他人確率を用いて、前記照合スコアを他の評価指標に変換することを特徴とする請求項１４記載の生体認証方法。
【請求項１８】
前記更新した他人確率が予め設定した所定値を超えた場合、警告を出力することを特徴とする請求項１７に記載の生体認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、人が持つ生体的特徴を用いて個人を認証する生体認証システム及び方法に関する。
【背景技術】
【０００２】
生体認証はパスワードやＩＣカードなどに基づく認証と比べて、偽造が困難であり、忘れることもないといった利点を持つ。生体認証では、登録時にユーザ（以後、登録ユーザと呼ぶ）から生体情報を取得し、そこから特徴量と呼ばれる情報を抽出して登録する。この登録情報を登録テンプレートという。認証時には、ユーザ（以後、認証ユーザと呼ぶ）の生体情報から抽出した特徴量と登録テンプレートを照合し、出力された照合スコア（ここでは認証ユーザの特徴量と登録テンプレートとの距離とする）とシステムがあらかじめ設定しておいた認証閾値とを比較することで認証を行なう。
【０００３】
照合スコアは、認証時に入力された生体情報に大きく依存する。例えば照明条件、顔の向き、髪型、手やレンズなどに付着した埃などの条件の変動によって照合スコアが変動し、その結果、認証精度が劣化する。これに対して特許文献１では、運用時に得られた生体情報とデータベースに登録されている全登録ユーザの生体情報との照合を行ない、得られた照合スコアを用いて本人対本人照合のスコア分布と本人対他人照合のスコア分布を更新し、これらの分布を用いて認証時の生体情報に含まれる変動に応じた照合スコアの補正を行なっている。
【０００４】
また、複数種別の生体情報（例えば、指紋・虹彩・声紋など）を入力させ、それらを用いて統合的に本人判定を行なうことで、高い認証精度を実現する複合認証が非特許文献１などで提案されている。非特許文献１では、認証ユーザと１人の登録ユーザに対して照合（以後、１：１照合と呼ぶ）を行なう生体認証（以下、１：１認証と呼ぶ）における複合認証を提案している。複数の生体情報からそれぞれの照合スコアが得られた後、本人対本人照合のスコア分布と本人対他人照合のスコア分布を用いて照合スコアを別の評価指標である尤度比に変換し、それを認証閾値と比較することでユーザの判定を行なっている。
【０００５】
【特許文献１】特開2008-40874
【非特許文献１】高橋健太他、「逐次確率比検定とロジスティック回帰を用いたマルチモーダル生体認証」、信学論 D Vol.J89-D No.5 pp.1061-1065 (2006)
【発明の開示】
【発明が解決しようとする課題】
【０００６】
生体認証の結果、システムが正しく本人と判定しない、或いは他人を誤って本人と判定してしまう場合が生じる。前者が生じる確率はＦＲＲ（Ｆａｌｓｅ  Ｒｅｊｅｃｔｉｖｅ  Ｒａｔｅ）、後者が生じる確率はＦＡＲ（Ｆａｌｓｅ  Ａｃｃｅｐｔａｎｃｅ  Ｒａｔｅ）と呼ばれる。これらは、本人同士の照合スコアｓの分布（以下、本人分布と呼ぶ）ｆ(ｓ)と他人同士の照合スコアの分布（以下、他人分布と呼ぶ）ｇ(ｓ)を用いて、式（1）および式（2）で表すことができる。
【０００７】
【数１】
2010108074.tif 000003
【０００８】
【数２】
2010108074.tif 000004
これを図示したものが図１０である。ＦＲＲ／ＦＡＲはそれぞれ認証閾値sthよりも右側／左側の斜線の面積に相当する。認証閾値sthは一般に、精度評価用に収集した生体情報を基に本人／他人分布を推定し（或いはヒストグラムを求め）、ＦＲＲ及びＦＡＲが要求値（システムに求められる認証精度）以下となるように設定する。しかしながら、照合スコアｓは、照明環境、指の置き方、表情、登録・認証間の経過時間などの要因によって大きく変化し得るため、精度評価時の照合スコアが従う本人／他人分布と、運用時の照合スコアが従う本人／他人分布は大きく異なる場合がある。例えば、精度評価時には、同一の照明環境で登録／認証用のデータを収集し、それを基にＦＲＲ及びＦＡＲが要求値以下となるように認証閾値sthを設定したとする。しかし運用時において、登録時と照明環境の大きく異なる場所で認証を行なうようにしたとすると、照合スコアsが従う本人／他人分布は精度評価時と大幅にずれてしまい、図１０のように誤り率が精度評価時よりも大きくなってしまうことがある。
【０００９】
前述のように、特許文献１はこの問題に対応しようとしている。但し、特許文献１では、照合スコアに本人／他人のラベルが正しく付与されない場合があるため、本人／他人分布が正しく推定されないという問題がある。
【００１０】
特許文献１では、以下のようにして照合スコアに本人／他人のラベルを付与し、それぞれのラベルの付いた照合スコアを用いて本人／他人分布を推定する（図１１参照）。
[手法１]：認証閾値以下であり、かつ最も小さい照合スコアを本人、それ以外を他人のものとみなす。
[手法２]：最も小さい照合スコアを本人、それ以外を他人のものとみなす。
【００１１】
例えば、[手法１]に基づいて本人／他人のラベルを付与した場合、本人分布は常に認証閾値よりも小さい照合スコアを用いて更新されるため、本来よりも左側（照合スコアの小さい側）にシフトしてしまう問題がある。また、[手法２]に基づいて本人／他人のラベルを付与した場合は、非登録ユーザが認証を試みた時、得られる照合スコアは本来全て他人のラベルを付けるべきであるにも関わらず、そのうち照合スコアの最も小さいものに本人のラベルを付けてしまうため、本人分布が本来よりも右側（照合スコアの大きい側）にシフトしてしまう問題がある。
【００１２】
また、特許文献１において、 [手法２]に基づいて本人／他人のラベルを付与した場合は、悪意のある非登録ユーザが生体情報を何度も入力することで、本人分布を本来より大幅に右側にシフトさせ、認証閾値を上げさせることで、なりすましを容易にする攻撃が可能である、という問題がある。
【００１３】
さらに、非特許文献１においては、本人／他人分布を用いて照合スコアを別の評価指標に変換し、それを認証閾値と比較することでユーザの判定を行なっているが、本人／他人分布が正しく推定されていないと、別の評価指標への変換が正しく行なえず、その結果、認証精度が劣化してしまうという問題がある。
【００１４】
以上のように、認証閾値のシフトの問題や認証精度の劣化の問題は、本人／他人分布が正しく推定されないことに起因しており、本人／他人分布の正しい推定が重要な課題となる。
【課題を解決するための手段】
【００１５】
本発明は、次のような態様の生体認証システム及びその方法である。認証ユーザの生体情報を入力する生体情報入力センサと、生体情報入力センサから入力した生体情報から特徴量を抽出する特徴量抽出部、認証ユーザの特徴量と予め登録してある登録ユーザの特徴量である登録テンプレートとを照合し、登録ユーザに対する照合スコアを求める照合部、照合スコアに係る値を認証閾値と比較し、認証ユーザを判定する認証ユーザ判定部、照合スコアを用いて、本人分布と他人分布との混合分布を推定し、この推定結果に基づいて本人分布および他人分布を更新する混合分布更新部、および更新した本人分布と他人分布とに基づいて、認証閾値を更新する閾値更新部を有する認証端末とを設けた生体認証システムおよびその生体認証方法である。
【００１６】
本発明の他の態様は、照合スコアに係る値は照合スコアである。
【００１７】
本発明のさらに他の態様は、閾値更新部は、更新された認証閾値が認証精度として要求される所定値を満足しない場合、警告を出力する。
【００１８】
本発明のさらに他の態様は、混合分布更新部は、さらに推定結果に基づいて、本人確率および他人確率を更新し、更新した他人確率が予め設定した所定値を超えた場合、警告を出力する。
【００１９】
本発明のさらに他の態様は、認証端末は、さらに本人分布および他人分布を用いて、照合スコアを他の評価指標に変換する照合スコア変換部を有し、
認証ユーザ判定部は、照合スコアに係る値として変換した評価指標を用い、認証閾値として評価指標に対応する他の認証閾値を用いる。
【発明の効果】
【００２０】
本発明によれば、本人／他人分布を正しく推定できる。その結果として、認証精度が劣化を防ぐなどの派生的な効果が得られる。
【発明を実施するための最良の形態】
【００２１】
以下、本発明の実施形態を、実施例１及び実施例２として説明する。
【実施例１】
【００２２】
本実施例の生体認証システムは、認証ユーザと１人（或いはＮ人）の登録ユーザとの１：１認証（或いは１：Ｎ認証）を行なう生体認証システムである。
【００２３】
図１に、生体認証システムの構成例を示す。このシステムは、生体情報を入力する生体情報入力センサ１００と、生体認証を行なう認証端末１１０とを有する。認証端末１１０は、認証ユーザとの直接のやり取りを行なう認証クライアント端末と、照合やユーザの判定などを行なう認証サーバ端末とに分けて、それらをネットワークで接続した構成にしても良い。認証端末１１０は、例えば、企業内の勤怠管理システムの場合、居室内に置かれた認証クライアント端末、サーバ室に置かれた認証サーバ端末、及びそれらを接続する社内イントラネットとする構成である。
【００２４】
認証端末１１０は、生体情報入力センサ１００から入力された、認証ユーザの生体情報から特徴量を抽出する特徴量抽出部１１１と、認証ユーザの抽出した特徴量を用いて１：１照合（或いは１：Ｎ照合）を行なう照合部１１２と、照合部１１２により得られた照合スコアを認証閾値と比較することで、認証ユーザが誰なのかを判定する認証ユーザ判定部１１３と、照合スコア履歴１５０にある照合スコアを用いて混合分布を推定することにより混合分布パラメータ１４０を更新する混合分布更新部１１４と、更新された混合分布パラメータ１４０を基に認証閾値１３０を更新する閾値更新部１１５と、データベース１１６とを有する。
【００２５】
データベース１１６は、Ｎ人の登録ユーザの登録ユーザデータ１２０と、認証閾値１３０と、混合分布パラメータ１４０と、照合スコア履歴１５０とを保持する。登録ユーザデータ１２０は、登録ユーザ毎に、ユーザＩＤ１２１と登録テンプレート１２２とを含む。混合分布パラメータ１４０は、本人分布のパラメータである本人分布パラメータ１４１と、他人分布のパラメータである他人分布パラメータ１４２と、本人確率１４３と、他人確率１４４とを含む認証端末１１０を、複数の認証クライアント端末と認証サーバ端末とに分けて、それらをネットワークで接続した構成にする場合、認証サーバ端末にデータベース１１６を持たせ、混合分布パラメータ１４０と、照合スコア履歴１５０については認証クライアント端末毎のものを保持するようにしても良い。
【００２６】
図２に、本実施例における認証端末１１０のハードウェア構成を示す。認証端末１１０は、図のようにＣＰＵ２００と、メモリ２０１と、ＨＤＤ２０２と、入力装置２０３と、出力装置２０４と、通信装置２０５とを有する。メモリ２０１は認証端末１１０の各部の処理プログラムを格納し、ＣＰＵ２００はメモリ２０１に格納されている各処理プログラムを実行する。入力装置２０３と出力装置２０４は、管理者による認証端末１１０との各種情報入出力に用いられる。各種情報入出力は、たとえば、状況に応じた警告の出力、その状況に対応するためのコマンド入力などである。管理者が認証端末１１０から遠隔に居る場合は、通信装置２０５を介して、コマンドが入力されたり、警告が出力される。
【００２７】
図３に、本実施例における認証の処理手順およびデータの流れを示す。認証端末１１０は、ユーザＩＤ１２１を入力する（Ｓ３０１）。但し、１：Ｎ認証の場合はこの処理は行なわない。ユーザＩＤ１２１の入力は、ＩＣカードを用いても良いし、キーボード操作によるものでも良い。認証端末１１０は、生体情報入力センサ１００から認証ユーザの生体情報を入力する。（Ｓ３０２）。認証端末１１０は、入力した生体情報から特徴量を抽出する（Ｓ３０３）。
【００２８】
認証端末１１０は、抽出した特徴量を用いて照合を行なう（Ｓ３０４）。１：１認証の場合は、入力されたユーザＩＤ１２１に対応付けられている、登録ユーザの登録テンプレート１２２との１：１照合を行なう。１：Ｎ認証の場合は、データベース１１６にあるＮ人の登録ユーザの登録テンプレート１２２との１：Ｎ照合を行なう。
【００２９】
認証端末１１０は、Ｓ３０４の照合結果として得られた照合スコアを認証閾値と比較することで、認証ユーザが誰なのかを判定する（Ｓ３０５）。１：１認証の場合は、認証ユーザが入力されたユーザＩＤ１２１に対応付けられている登録ユーザ本人なのか否かを判定し、１：Ｎ認証の場合は、認証ユーザがどの登録ユーザなのか、或いは登録していないユーザなのかを判定する。
【００３０】
なお、本実施例では説明を簡単にするために、認証ユーザの生体情報から抽出した特徴量と登録テンプレート１２２との差（距離）としての照合スコアが認証閾値より小さいときに本人であると判定するようにしているが、システム構築の都合上などで、たとえば距離とは大小関係が逆である類似度などを照合スコアとして用いる場合は、本人と判定する大小関係も逆になる。
【００３１】
認証端末１１０は、Ｓ３０４の照合結果として得られた照合スコアをデータベース１１６の照合スコア履歴１５０に保存する（Ｓ３０６）。
【００３２】
図４に、本実施例における混合分布更新部及び閾値更新部の処理手順およびデータの流れを示す。この処理は、照合スコア履歴１５０に保存されている照合スコアの数がある一定値を超えたら行なうようにしても良いし、ある一定期間が経過する度に行なうようにしても良い。また、認証後、毎回行なうようにしても良い。
【００３３】
認証端末１１０は、データベース１１６の照合スコア履歴１５０に保持されている照合スコアを用いて混合分布を推定することにより、混合分布パラメータ１４０を更新する（Ｓ４０１）。混合分布パラメータ１４０の更新については後述する。認証端末１１０は、ステップＳ４０１で更新された混合分布パラメータ１４０を基に、認証閾値１３０を更新する（Ｓ４０２）。認証閾値１３０の更新については後述する。
【００３４】
Ｓ４０１における混合分布パラメータ１４０の更新について説明する。本人／他人分布パラメータをそれぞれθ１、θ０、本人／他人確率をｐ（ｇ＝１）、ｐ（ｇ＝０）とする。但し、ｐ（ｇ＝１）＋ｐ（ｇ＝０）＝１である。このとき、本人／他人分布はそれぞれ、ｆ（ｓ｜θ１）、ｇ（ｓ｜θ０）と表すことができ、混合分布は、式（3）で表すことができる。
【００３５】
【数３】
2010108074.tif 000005
但し、ｓは照合スコアである。例えば、本人／他人分布として正規分布を用いる場合は、分布パラメータは平均値と分散値であり、このときの混合分布は混合正規分布と呼ばれる。θ１＝｛μ１、σ１２｝、θ０＝｛μ０、σ０２｝（但し、μ１、μ０は平均値、σ１２、σ０２は分散値）とした場合の混合正規分布は、図５の点線のようになる。
【００３６】
本実施例の生体認証システムでは、照合スコア履歴１５０に保持されている照合スコアを用いて混合分布を推定することにより、本人／他人分布パラメータ及び本人／他人確率を更新する。混合分布の推定には、変分ベイズ法やＥＭアルゴリズムなどを用いる。ここでは、１：１認証において、変分ベイズ法によって混合分布を推定するアルゴリズムを示す。但し、本人／他人分布がベータ二項分布に従うものとする。このとき、本人分布ｆ(ｓ｜θ１）及び他人分布ｇ(s｜θ０）をそれぞれ式（4）及び式（5）で表すことができる。
【００３７】
【数４】
2010108074.tif 000006
【００３８】
【数５】
2010108074.tif 000007
ここで、それぞれの分布パラメータは、θ１＝｛α１、β１｝及びθ０＝｛α０、β０｝である。但し、Bi( )、Be( )はそれぞれ二項分布、ベータ分布とする。また、本人／他人確率ｐ（ｇ）は、ｐ（ｇ＝１）＋ｐ（ｇ＝０）＝１より、ベルヌーイ分布に従い、式(6)と表わせる。
【００３９】
【数６】
2010108074.tif 000008
ここでは、ベルヌーイ分布のパラメータｍ１がベータ分布に従うものとし、式（7）とする。
【００４０】
【数７】
2010108074.tif 000009
照合スコア履歴１５０に保持されているＬ個の照合スコアを式(８)とすると、
【００４１】
【数８】
2010108074.tif 000010
以下のアルゴリズムによって混合分布を推定することができる。
【００４２】
（１）パラメータ初期設定
αi(t)、βi(t)、φi(t)の初期値αi(0)、βi(0)、φi(0)を設定する(i=0,1)。例えば、式(9)とする。
【００４３】
【数９】
2010108074.tif 000011
ｔ＝0とする。
【００４４】
（２）パラメータ更新
αi(t)、βi(t)、φi(t)をそれぞれ式（10）〜式（12）とする(i=0,1)。
【００４５】
【数１０】
2010108074.tif 000012
【００４６】
【数１１】
2010108074.tif 000013
【００４７】
【数１２】
2010108074.tif 000014
但し、
【００４８】
【数１３】
2010108074.tif 000015
【００４９】
【数１４】
2010108074.tif 000016
【００５０】
【数１５】
2010108074.tif 000017
【００５１】
【数１６】
2010108074.tif 000018
であり、smaxは照合スコアとして取りうる値の上限、Ψ( )はディガンマ関数である。ｔ＝ｔ＋１とする。
（３）パラメータが収束するまで繰り返し
（２）を、αi(t)、βi(t)、φi(t) (i=0,1)が収束するまで繰り返す。
以上により求めたαi(t)、βi(t)、φi(t) (i=0,1)を用いて、本人／他人分布パラメータ及び本人／他人確率を、
【００５２】
【数１７】
2010108074.tif 000019
【００５３】
【数１８】
2010108074.tif 000020
【００５４】
【数１９】
2010108074.tif 000021
と求める。但し、Ｂ（ ）はベータ関数である。
【００５５】
以下、Ｓ４０２における認証閾値１３０の更新について説明する。Ｓ４０１により求めた本人／他人分布を用いて任意の認証閾値におけるＦＲＲ／ＦＡＲを求める。そして、ＦＲＲ及びＦＡＲの要求値が共に満たされるよう認証閾値１３０を更新する。
【００５６】
図６に、混合分布及び認証閾値の更新を説明する図を示す。精度評価用のデータを用いてＦＲＲ及びＦＡＲが共に要求値以下になるように認証閾値を設定したとする。ところが運用時は本人／他人分布が精度評価時と異なるため、ＦＲＲ及びＦＡＲは変化している。混合分布を推定することで本人／他人分布を求めた結果、ＦＲＲが非常に大きくなっていることが分かる。この後、求めた本人／他人分布を基に、ＦＲＲ及びＦＡＲが要求値以下となるよう認証閾値を変更する。このようにすることで、本人／他人分布を正しく推定することができ、運用時におけるＦＲＲ／ＦＡＲが要求値以下となるようにすることができる。その結果、運用時において要求通りの安全性・利便性が実現される効果が得られる。
【００５７】
またこのとき、認証閾値をどのように変更してもＦＲＲ／ＦＡＲが要求値以下とならない場合、警告を出力する（たとえば、管理者にメールなどで知らせる）ようにしても良い。このようにすることで、管理者は、該当する認証端末１１０（或いは認証クライアント端末）を一時的にロックする、或いは照明環境やセンサの位置（高さ）などを変更するなどの処置を施すことができる。その結果、安全性が一層向上する効果が得られる。また、管理者は必要最小限の認証端末１１０（或いは認証クライアント端末）に対して、ロックなどの特別な処置を施せば良いので運用管理コストが低減される効果も得られる。
【００５８】
図７に、非登録ユーザが生体情報を何度も入力することで、なりすましを試みようとしたときを説明する図を示す。非登録ユーザが生体情報を何度も入力することで、高い照合スコアが多く得られる。これらは他人分布から生成されるものと見なすことができるので、これらを基に混合分布を推定すると、本人／他人分布はほとんど変化せず、本人／他人確率だけが減少／上昇する（得られる混合分布は、左の山が低く、右の山が高いような分布となる）。その後、認証閾値を更新しようとすると、本人／他人分布はほとんど変化していないため、認証閾値はほとんど変化しない。このようにすることで、非登録ユーザが生体情報を何度も入力し、認証閾値を上げることでなりすましを試みる攻撃を防ぐことができる。その結果、安全性が向上する効果が得られる。
【００５９】
このとき他人確率が上昇しているので、他人確率がある一定値を超えた場合に、警告を出力する。たとえば、認証端末１１０を一時的にロックさせる、或いは警報を鳴らすなどの認証ユーザへの罰則を設ける。或いは、管理者にメールなどで知らせるようにしても良い。このようにすることで、非登録ユーザが生体情報を何度も入力することでなりすましを試みる攻撃を防ぐことができる。その結果、安全性が一層向上する効果が得られる。
【００６０】
本実施例の生体認証システムでは、運用時の混合分布を推定することにより求めた本人／他人分布を用いて、ＦＲＲ及びＦＡＲの要求値が共に満たされるよう認証閾値を更新する。このようにすることで、本人／他人分布を正しく推定することができ、運用時におけるＦＲＲ／ＦＡＲが要求値以下となるようにすることができる。その結果、運用時において要求通りの安全性・利便性が実現される効果が得られる。
【００６１】
さらに、本実施例の生体認証システムでは、上記において認証閾値をどのように変更してもＦＲＲ／ＦＡＲが要求値以下とならない場合、管理者にメールなどで知らせるようにしても良い。このようにすることで、管理者は、該当する認証端末（或いは認証クライアント端末）を一時ロックする、或いは照明環境やセンサの位置（高さ）などを変更するなどの処置を施すことができる。その結果、安全性が一層向上する効果が得られる。また、管理者は必要最小限の認証端末（或いは認証クライアント端末）に対して、特別な処置を施せば良いので運用管理コストが低減される効果も得られる。
【００６２】
さらに、本実施例の生体認証システムでは、非登録ユーザが生体情報を何度も入力することでなりすましを試みようとしたとき、本人／他人分布はほとんど変化せず、本人／他人確率だけが減少／上昇するため、認証閾値はほとんど更新されない。このようにすることで、非登録ユーザが生体情報を何度も入力し、認証閾値を上げることでなりすましを試みる攻撃を防ぐことができる。その結果、安全性が向上する効果が得られる。
【００６３】
さらに、本実施例の生体認証システムでは、非登録ユーザがなりすましを試み、他人確率がある一定値を超えた場合に認証端末を一時的にロックさせる、或いは警報を鳴らすなどの認証ユーザへの罰則を設けても良い。或いは、管理者にメールなどで知らせるようにしても良い。このようにすることで、非登録ユーザが生体情報を何度も入力することでなりすましを試みる攻撃をさらに防ぐことができる。その結果、安全性が一層向上する効果が得られる。
【実施例２】
【００６４】
本実施例の生体認証システムは、複数種別の生体情報を用いて、得られた照合スコアを事後確率に変換することで、認証ユーザと１人（或いはＮ人）の登録ユーザとの１：１認証（或いは１：Ｎ認証）を行なう生体認証システムである。本実施例では照合スコアに係る値として他の評価指標である事後確率を用いる。したがって、本実施例の認証閾値は、事後確率に対応する値である。
【００６５】
図８に、複合認証システムの構成例を示す。ここでは図１に示した実施例１の構成例との違いについて述べる。このシステムは、図１に示される実施例１の構成例において、生体情報入力センサ１００をそれぞれ認証ユーザの生体情報１から生体情報Ｍまでを入力できる複数種別の生体情報入力センサ１００と、照合部１１２によって得られた照合スコアを用いて、認証ユーザが登録ユーザ・非登録ユーザと同一人物であるという確率（以後、事後確率）を算出する事後確率算出部１１２ａとを設けたものである。また、閾値更新部１１５は無くても良い。
【００６６】
図９に、本実施例における認証の処理手順およびデータの流れを示す。ここでは図３との違いについて述べる。Ｓ３０２では、生体情報入力センサ１００から認証ユーザの生体情報を取得する。入力する生体情報の種別はシステムが指示しても良いし、ユーザが選んでも良い（Ｓ３０２）。
【００６７】
Ｓ３０４ａでは、Ｓ３０４で得られた照合スコアと、データベース１１６に格納されている混合分布パラメータ１４０（本人分布パラメータ１４１、他人分布パラメータ１４２、本人確率１４３、他人確率１４４）を用いて、認証ユーザが登録ユーザ・非登録ユーザと同一人物であるという事後確率を算出する（ステップＳ３０４ａ）。
【００６８】
以下、事後確率の算出方法について詳述する。ここでは、１：１認証において、事後確率を算出する方法について述べる。今までに認証ユーザが入力した生体情報の数をＪとする。また、ｊ（≦Ｊ）回目の生体情報の入力で得られた照合スコアをｓｊとし、今までに得られた全照合スコアを、式（20）とする。
【００６９】
【数２０】
2010108074.tif 000022
このとき、認証ユーザが登録ユーザ、非登録ユーザであるという事後確率は、それぞれｐ（ｇ＝１｜Ｓ）、ｐ（ｇ＝０｜Ｓ）と表すことができる。これらはベイズの定理を用いて、それぞれ、式(21)および式(22)と表わせる。
【００７０】
【数２１】
2010108074.tif 000023
【００７１】
【数２２】
2010108074.tif 000024
ｐ（ｇ＝１）、ｐ（ｇ＝０）はそれぞれ本人確率１４３、他人確率１４４である。ｐ（Ｓ｜ｇ＝１）、ｐ（Ｓ｜ｇ＝０）は、全スコアが独立であるとき、それぞれ、式(23)および式(24)と変形できる。
【００７２】
【数２３】
2010108074.tif 000025
【００７３】
【数２４】
2010108074.tif 000026
ｆ（ｓ｜θ１）、ｇ（ｓ｜θ０）はそれぞれ本人分布、他人分布であり、θ１、θ０はそれぞれ本人分布パラメータ１４１、他人分布パラメータ１４２である。
【００７４】
このとき、データベース１１６から取得した混合分布パラメータ１４０（本人分布パラメータ１４１、他人分布パラメータ１４２、本人確率１４３、他人確率１４４）は、Ｓ４０１において、運用時の混合分布を推定することにより求めたものを用いる。Ｓ４０１において運用中の本人／他人分布、本人／他人確率を正しく推定することができるので、これらを用いることで、より正確な事後確率を求めることができる。その結果、複合認証システムにおける認証精度を高めることができる。その結果、安全性・利便性が向上する効果が得られる。
【００７５】
Ｓ３０５では、Ｓ３０４ａで得られた事後確率を認証閾値と比較することで、認証ユーザの判定を行なう。具体的には、認証閾値を超えた事後確率が１つ以上存在する場合、そのうち最大値を実現した登録ユーザ（或いは非登録ユーザ）を判定結果としてＳ３０６に進む。認証閾値を超えた事後確率が存在しない場合、判定不能とし、Ｓ３０２に戻り、他の種別の生体情報を入力する（Ｓ３０５）。
【００７６】
本実施例における混合分布更新及び閾値更新の処理手順およびデータの流れは図４と同じである。但し、閾値更新処理（Ｓ４０２）は行なわなくても良い。
【００７７】
このように本実施例の生体認証システムでは、運用時の混合分布を推定することにより求めた本人／他人分布、本人／他人確率を用いて照合スコアを別の評価指標に変換し、それをユーザの判定基準として用いる。このようにすることで、本人／他人分布、本人／他人確率を推定することができ、その結果、より正確に照合スコアを別の評価指標に変換できるようになり、認証精度を高めることができる。その結果、安全性・利便性が向上する効果が得られる。
【図面の簡単な説明】
【００７８】
【図１】生体認証システムの構成例を示す図である。
【図２】認証端末のハードウェア構成を示す図である。
【図３】実施例１の認証の処理手順およびデータの流れを示す図である。
【図４】混合分布更新部及び閾値更新部の処理手順およびデータの流れを示す図である。
【図５】混合正規分布の一例を示す図である。
【図６】混合分布及び認証閾値の更新を説明する図である。
【図７】非登録ユーザがなりすましを試みようとしたときを説明する図である。
【図８】複合認証システムの構成例を示す図である。
【図９】実施例２の認証の処理手順およびデータの流れを示す図である。
【図１０】本人／他人分布及びＦＲＲ／ＦＡＲを示す概略図である。
【図１１】照合スコアを用いた本人／他人分布の推定を説明する図である。
【符号の説明】
【００７９】
１００：生体情報入力センサ、１１０：認証端末、１１１：特徴量抽出機能、１１２：照合機能、１１２ａ：事後確率算出機能、１１３：認証ユーザ判定機能、１１４：混合分布更新機能、１１５：閾値更新機能、１１６：データベース、１２０：登録ユーザデータ、１２１：ユーザＩＤ、１２２：登録テンプレート、１３０：認証閾値、１４０：混合分布パラメータ、１４１：本人分布パラメータ、１４２：他人分布パラメータ、１４３：本人確率、１４４：他人確率、１５０：照合スコア履歴、２００：ＣＰＵ、２０１：メモリ、２０２：ＨＤＤ、２０３：入力装置、２０４：出力装置、２０５：通信装置。
【図１】
2010108074.tif 000027
【図２】
2010108074.tif 000028
【図３】
2010108074.tif 000029
【図４】
2010108074.tif 000030
【図５】
2010108074.tif 000031
【図６】
2010108074.tif 000032
【図７】
2010108074.tif 000033
【図８】
2010108074.tif 000034
【図９】
2010108074.tif 000035
【図１０】
2010108074.tif 000036
【図１１】
2010108074.tif 000037